象印マホービン、台湾子会社『台象』にサイバー攻撃——顧客・従業員の個人情報流出の可能性

項目	内容
発生日	2026年4月13日にサイバー攻撃発生
対象組織・業界	象印マホービン株式会社／台湾子会社「台象」（生活用品製造・販売）
攻撃手法	サイバー攻撃（具体的な手法は現時点で公表なし）
情報源	Security NEXT（2026年5月18日）

概要

象印マホービン株式会社の台湾子会社「台象」がサイバー攻撃を受け、台湾国内の顧客の氏名・メールアドレス、および一部従業員のパスポート情報・財務情報が流出した可能性があると2026年5月18日に公表しました。攻撃発生は2026年4月13日、流出可能性の判明は5月11日、公表は5月18日と、発生から公表まで約35日を要しています。

経緯

• 2026年4月13日: 台象でサイバー攻撃が発生
• 2026年5月4日: 被害サーバをネットワークから遮断し復旧完了
• 2026年5月11日: 個人情報流出の可能性を確認
• 2026年5月18日: 事案を公表

原因

具体的な侵入経路・攻撃手法は現時点で公表されていません。同社は「現地当局や専門家の協力のもと、原因の特定と情報流出の詳細な調査を継続」しています。

考えられる原因（推測）

以下は公表事実から考えられる仮説であり、同社が公表したものではありません。

1. 海外拠点特有の管理主体の分離: 台湾子会社の独自運用領域が親会社のセキュリティ監視から外れていた可能性が考えられます。攻撃発生（4月13日）から流出判明（5月11日）まで約1ヶ月かかっている点は、影響範囲の再構成に時間を要したことを示唆します
2. 顧客情報と従業員情報が同時に対象となっている点: 顧客DBと従業員データが同じネットワーク上・同じ管理範囲で運用されていた可能性が考えられます
3. パスポート・財務情報が含まれる点: 一部従業員の高機微データが攻撃者側に到達しうる位置に保管されていた可能性があります

対策

組織が学ぶべきこと

1. 海外子会社のログ・監査基準を親会社水準に揃える: 海外拠点は現地法・現地商習慣により独自の運用が発生しやすい一方、攻撃者から見れば「同じグループ」の入口です。ログ取得・保管期間・アクセス統制の水準にばらつきがあると、影響範囲の説明責任が拠点ごとに異なる時間軸で発生し、対応が長期化します。

2. 攻撃発生から公表・報告までの時間を短縮する社内フローを整える: 本件では発生（4月13日）→ 遮断・復旧（5月4日）→ 流出判明（5月11日）→ 公表（5月18日）と、段階ごとに時間が要されています。各段階で「何が言えて、何が言えないか」を整理するテンプレを持つと、対外説明のスピードと精度の両方が上がります。

3. パスポート・財務情報のような高機微データは分離保管する: 従業員のパスポート・財務情報が顧客系DBと同じ攻撃範囲に含まれてしまう構造は、事故時の影響を増幅させます。分離保管・アクセス権最小化・暗号化のうち、少なくとも複数を組み合わせるのが実務のスタンダードです。

ヤグラの視点 — 説明責任のログ、「拠点をまたぐ流出」の根拠を持つ

海外子会社の侵害は、日本の親会社にとって「見えない領域で起きたインシデント」になりがちです。攻撃発生から流出判明まで約1ヶ月、公表までさらに1週間を要した本件は、現地拠点でのログ調査・影響範囲特定・親会社内での意思決定プロセスが直列に積み重なる構造を示しています。個情委・現地当局・報道への説明責任を果たすには、拠点ごとに「いつ何のログが取得されていたか」「アクセス統制がどう機能していたか」を再構成できる状態が必要です。それを事後にやろうとすると、拠点独自の運用や現地スタッフの知見に依存し、時間軸のブレを生みます。平時からグループ横断でログ規格を揃え、AIが調査推論に活用できるメモリを蓄積しておくことが、拠点をまたぐ説明責任の前提になります。

グループ横断でログを集約し、拠点をまたいで影響範囲を説明できる体制を持つには、AIによる調査自動化と対応履歴のメモリ化が有効です。→ ヤグラ AI SOC

今後の対応

流出可能性のある顧客数・従業員数、原因調査の結果、対象者への通知進捗を注視し、判明次第本記事に追記します。

更新履歴

日時	内容
2026-05-18	第一報を公開